クラウドセキュリティ：事業者と自社の責任の境目と、設定の点検の順番

クラウドセキュリティとは、事業者が守る範囲と自社が守る範囲を分け、自社の側の設定とアカウントを正しく保つことです。「クラウドだから事業者が守ってくれる⁠」⁠と考えると、自社の担当部分が空白になります。

何から手を付けるか

大きな投資は要りません。次の順で進めます。

1. 会社で使っているクラウドを一覧にする
2. 管理者アカウントを減らし、多要素認証を付ける
3. 全社員のアカウントに多要素認証を広げる
4. ファイルの共有設定と外部共有の範囲を確かめる
5. 退職者のアカウントを止める手順を決める
6. 大事なデータを別の場所にもバックアップする
7. 基盤を自社で組んでいるなら、設定の点検を仕組みにする

責任の境目はどこか

AWSの責任共有モデルは、事業者の責任を「クラウドのセキュリティ」⁠、利用者の責任を「クラウドにおけるセキュリティ」⁠と呼び分けています。AWSはサービスを動かす基盤を保護し、利用者の責任は選んだサービスによって変わる、という説明です。

総務省のクラウドの適切な設定のためのガイドライン（2022年10月）⁠も⁠、利用者の責任範囲はSaaS、PaaS、IaaSの形態によって変わるとし、一律には決まらないので責任の分かれ目を確かめるよう求めています。

社内にAWSの担当がいない会社でも、制作会社にサイトの基盤を任せていることがあります。その場合はどこまで見てもらっているのかを、契約書で確かめます。

設定不備は、よくある原因の1つ

総務省の同じガイドラインは、IPAの「コンピュータウイルス・不正アクセスの届出状況 2021年⁠」⁠を引いて、不正アクセスの原因のおよそ17.7%⁠が設定不備で、第3位だったと紹介しています。古い調査ですが、設定が原因になりうることは今も変わりません。

攻撃の話というより、設定の見落としです。たとえば、社外の協力会社と図面を共有するために作ったリンクが、案件のあとも誰でも開ける状態で残っていた、という形が考えられます。

Microsoft 365などのSaaSの設定を継続的に見る製品としてSSPMがあります。担当者が月1回⁠の点検で追いきれなくなってから考えて構いません。アカウントの管理をまとめるIDaaSは、使うクラウドが増えて入退社の作業が重くなった会社に向きます。

社員が勝手に使うクラウド

会社が把握していないクラウドの利用は、シャドーITと呼ばれます。無料のファイル共有やメモのサービスに業務データが置かれると、会社からは見えず、退職時に回収もできません。

禁止の前に聞いてみてください。使う理由の多くは「大きなファイルを送れないから」のような業務上の不便です。会社として使える手段を用意すれば、かなり減ります。それでも見える形にしたいときに、CASBを検討します。

基盤を自社で組んでいる会社

AWSなどを自社で設定して使っているなら、手作業の点検では追いつかなくなります。公開設定や権限の誤りを継続的に見つける仕組みとして、CSPMや、それを含むCNAPPがあります。

逆に、SaaSを使っているだけの会社には、ほとんどの場合これらは早すぎます。サーバーの守りの話を含めて、自社の使い方に当てはまるかどうかを先に確かめます。

契約する前に確かめること

新しいサービスを導入するときは、機能と価格に加えて次の点を見ます。多くは公式の案内や管理画面で確かめられます。

• 多要素認証と、管理者の権限の分け方に対応しているか
• ログイン記録をどれくらいの期間見られるか
• 解約のときにデータを取り出せるか
• 取引先のデータを預かってよいか。保存される国や条件はどうか

データは事業者が必ず戻してくれるのか

保存の仕組みが堅牢でも、社員の誤った削除や、乗っ取られたアカウントによる削除は「正しい操作」⁠と⁠し⁠て処理されることがあります。どこまで戻せるかは、サービスと契約によって違います。受注データや図面のように失えないものは、別の場所へのバックアップを検討します。

メールのなりすまし対策はメールセキュリティ⁠、アカウントの管理は情報漏えい・内部不正⁠、全体の順番はセキュリティ対策の全体像⁠で扱います。